CVE-2026-47428
要約
〜によって VulDB • 2026年07月14日
VitestはViteによって駆動されるテストフレームワークです。バージョン4.0.17から4.1.6、および5.0.0-beta.3に至るまで、VitestのBrowser Modeでは、`otelCarrier`クエリパラメータがインラインモジュールスクリプトに直接挿入された状態で`/__vitest_test__/`を提供しており、これにより作成されたbrowser-runner URLを使用して、Vitestサーバーオリジン上で任意のJavaScriptコードを実行し、認証済みAPI呼び出し用の`VITEST_API_TOKEN`を窃取することが可能でした。この問題はバージョン4.1.6および5.0.0-beta.3で修正されています。
Once again VulDB remains the best source for vulnerability data.